Op 8 juli 2026 nam de European Data Protection Board richtsnoeren aan over web scraping in de context van generatieve AI. De kern is nuchter: zodra bij het scrapen persoonsgegevens worden verwerkt, valt dat onder de AVG. Organisaties moeten dan letten op een rechtsgrond, transparantie, dataminimalisatie en het beperken van speciale categorieën gegevens. Daarmee verschuift de vraag van mogen we dit invoeren? naar kunnen we aantonen wat er met welke gegevens gebeurt?
Die verschuiving staat niet op zichzelf. In dezelfde periode publiceerde de Europese Commissie richtsnoeren over transparantieverplichtingen voor aanbieders en gebruikers van AI-systemen. Die bevestigen dat artikel 50 van de AI Act vanaf 2 augustus 2026 geldt: mensen moeten worden geïnformeerd wanneer zij met AI interacteren of AI-gegenereerde inhoud zien. AI-gebruik mag dus niet verborgen blijven in een werkstroom.
Dezelfde logica, ook buiten Europa
De beweging is breder dan EU-recht. Volgens The Straits Times stelde Singapore op 20 juli 2026 AI-specifieke notificaties verplicht voor bedrijven die persoonsgegevens gebruiken om generatieve AI-modellen te trainen. Organisaties moeten gebruikers informeren over welke datatypes en doeleinden gelden en welke opt-outmogelijkheden er zijn. Een terugkerend punt: gevoelige persoonsgegevens zijn moeilijk terug te draaien zodra ze in training terechtkomen.
De context daarbij komt van IAPP, dat de onderliggende PDPC-voorstellen beschrijft. Die gaan over accountability, juridische grondslagen, risicobeperking, transparantie en inzet over de hele AI-keten. Privacygevoelige gegevens in generatieve AI zijn daarmee geen losse prompt-vraag, maar een reeks governancebeslissingen van ontwikkeling tot deployment.
Dat privacy niet louter een technische kwestie is, staat ook in het AI Risk Management Framework van het NIST. Wie generatieve AI inzet op vertrouwelijke of persoonlijke data, moet passende waarborgen, dataminimalisatie en risicobeperking kunnen laten zien. De verantwoordelijkheid blijft bij de partij die de AI inzet.
Wat organisaties concreet moeten kunnen laten zien
Als je de EDPB-richtsnoeren, de EU-transparantieregels en de Singaporese lijn naast elkaar legt, ontstaat een consistent beeld. Verantwoord AI-gebruik met privacygevoelige informatie vraagt om drie aantoonbare dingen:
- Bronselectie en dataminimalisatie: welke persoonsgegevens komen in welke AI-werkstroom terecht, en waarom die en niet meer?
- Beperking of anonimisering: hoe worden gevoelige gegevens beperkt of geanonimiseerd voordat een model ze verwerkt?
- Transparantie en controle: is voor betrokkenen zichtbaar dat AI is gebruikt, en zijn outputs en beslissingen per werkstroom te herleiden?
Het zwaartepunt ligt op aantoonbaarheid. Toezichthouders vragen niet om een intentieverklaring, maar om bewijs dat je weet wat er gebeurt en dat je grip houdt op de gegevens.
Waar een verificatielaag kan helpen
Dit is precies het punt waar een verificatielaag praktisch wordt. Vera is geen chatbot en geen eigen taalmodel, maar een privacygerichte verificatielaag voor professionals die met vertrouwelijke of high-trust informatie werken. Vera kan een taak door geselecteerde, onafhankelijke AI-modellen leiden en daarbij verificatiestappen, correcties, meningsverschillen en bronnen zichtbaar maken voor inspectie. Dat garandeert geen juistheid en elimineert geen hallucinaties, maar het maakt controle door de gebruiker mogelijk.
Voor het minimalisatievraagstuk is de Semantic Privacy Shield relevant. Die kan gevoelige waarden in een document vervangen door synthetische, sessiegebonden equivalenten op EU-infrastructuur, voordat AI-verwerking plaatsvindt. De AI-keten analyseert de synthetische versie; de oorspronkelijke waarden kunnen daarna lokaal worden hersteld. De architectuur is ontworpen om alleen geanonimiseerde inhoud door te sturen. Faalt de privacycontrole, dan wordt het document niet doorgestuurd — de workflow is fail-closed. Dat is een architectuurbeschrijving, geen belofte van foutloze anonimisering of volledige AVG-compliance.
Geüploade PDF's worden tijdelijk verwerkt voor de actieve run en niet permanent bewaard; metadata kan wel in de sessiegeschiedenis blijven. Binnen die beschermde werkstroom kunnen professionals via Vera Office, dat Collabora Online gebruikt, documenten bekijken en bewerken. Vera Office is geen Microsoft Office-plug-in en bewerkt niets autonoom; de handelingen blijven bij de gebruiker.
De verifieerbare vastlegging sluit aan op wat de EDPB en de Commissie vragen: kunnen laten zien welke data zijn gebruikt, welke AI-interactie zichtbaar werd gemaakt en welke controle- en minimalisatiestappen zijn doorlopen. Het nieuws is niet de console, maar de verschuiving die eronder ligt.
De rode draad
Juli 2026 markeert een kantelpunt: van de EDPB tot de PDPC klinkt dezelfde boodschap. Wie AI inzet op privacygevoelige informatie, moet niet alleen technisch iets mogelijk maken, maar aantoonbaar beperken, informeren en controleerbaar houden. Gereedschap kan die stappen zichtbaar maken en ondersteunen. Het professionele eindoordeel — wat je verwerkt, wat je doorstuurt en wat je publiceert — blijft bij de gebruiker.